Die Überweisung, die niemand gestoppt hat
Eine E-Mail vom CEO. Dringend. Eine Zahlung muss noch heute raus – vertraulich, keine internen Rückfragen. Der Ton stimmt. Die Absenderadresse sieht vertraut aus. Der Kontext klingt plausibel.
Was folgt, ist kein Systemausfall, kein verschlüsselter Server, kein Alarm – sondern eine Überweisung auf ein Konto, das einem Angreifer gehört.
Business E-Mail Compromise (BEC) funktioniert nicht trotz seiner Einfachheit, sondern wegen ihr. Kein Exploit, keine Malware – nur eine überzeugende Nachricht und eine menschliche Entscheidung unter Zeitdruck.
Wie verbreitet BEC wirklich ist
Die vom FBI dokumentierten Business E-Mail Compromise Schäden summierten sich in den letzten drei Jahren auf 8,5 Milliarden Dollar – wohlgemerkt nur die gemeldeten Fälle. Die tatsächliche Dunkelziffer ist strukturell höher, da viele Unternehmen Betrugsschäden intern halten.
In Europa bestätigt sich das Bild: Laut aktuellen Incident-Response-Reports macht BEC über 70 Prozent aller untersuchten Cybervorfälle bei europäischen KMU aus. Deutschland verzeichnete dabei innerhalb eines Jahres eine Verdoppelung seines Anteils an europäischen BEC-Incidents.
BEC ist damit keine Bedrohung für Großkonzerne mit komplexen Finanzstrukturen. Es trifft mittelständische Unternehmen, Buchhaltungsteams mit drei Personen, Geschäftsführerinnen, die E-Mails vom Smartphone lesen.
So läuft BEC ab
CEO-Fraud:
Angreifer imitieren die Geschäftsführung und weisen die Finanzabteilung zur sofortigen Überweisung an. Zeitdruck und Vertraulichkeit sollen Rückfragen verhindern.
Lieferanten- und Rechnungsbetrug (VEC & Invoice Fraud):
Angreifer setzen an der Zahlungskommunikation mit Lieferanten an – entweder indem sie echte E-Mail-Konten übernehmen (Vendor Email Compromise) oder indem sie gefälschte Rechnungen und manipulierte Bankdaten in bestehende Lieferantenbeziehungen einschleusen, oft begleitet von einem Anruf, der die Änderung „bestätigt". Diese Variante ist heute die finanziell schadenintensivste, weil die Kommunikation vollständig legitim wirkt.
KI-gestützte Impersonation:
Generative KI und Voice Cloning heben BEC auf eine neue Qualitätsstufe. E-Mails werden im exakten Schreibstil der imitierten Person verfasst, Sprachanrufe synthetisch generiert. Klassische Warnsignale – schlechte Grammatik, ungewöhnlicher Tonfall – fallen damit vollständig weg.
Warum BEC so schwer zu erkennen ist
Was BEC von vielen anderen Angriffsformen unterscheidet, ist die geringe Zahl klassischer technischer Indikatoren. Bei reiner Impersonation gibt es keine Malware und keinen Command-and-Control-Traffic – nur eine E-Mail und eine Entscheidung. Genau deshalb verschieben sich die entscheidenden Spuren weg vom Netzwerk hin zu Identitäts- und Verhaltenssignalen.
Bei Account-Takeover-basierten Angriffen – also wenn ein echtes Postfach kompromittiert wurde – sieht die Situation etwas anders aus. Dort hinterlässt der Angreifer Spuren: ungewöhnliche Login-Zeiten, Zugriffe aus unbekannten Regionen, neu eingerichtete Inbox Rules, die bestimmte Nachrichten automatisch weiterleiten oder verstecken.
Diese Signale sind erkennbar – aber nur, wenn aktiv danach gesucht wird.
Der ACDC-Ansatz: Erkennen, was keine Firewall sieht
Das Active Cyber Defense Center (ACDC) überwacht kontinuierlich die Signale, die BEC-Angriffe – insbesondere Account-Takeover-basierte Varianten – hinterlassen.
Ungewöhnliche Authentifizierungssequenzen, atypische Login-Locations, verdächtige Inbox-Rule-Änderungen oder auffälliges Sendeverhalten aus kompromittierten Konten werden durch Korrelation von Identitäts- und Verhaltenssignalen frühzeitig erkannt und eskaliert.
Monatliche Jour-Fixe liefern darüber hinaus konkrete Empfehlungen – etwa zur Absicherung privilegierter E-Mail-Konten.
